Cloud Asset Management

Définition

Le Cloud Asset Management (CAM) ou Cloud Asset Inventory est la discipline de découverte, d'inventaire, et de gestion centralisée de l'ensemble des ressources cloud d'une organisation (VMs, conteneurs, bases de données, buckets, fonctions serverless, identités, réseaux). Un inventaire précis et à jour des assets cloud est le prérequis fondamental de tout programme de sécurité cloud efficace : on ne peut pas sécuriser ce qu'on ne connaît pas. Les services natifs de Cloud Asset Management incluent : AWS Config (inventaire continu de toutes les ressources AWS avec historique des configurations et des changements), Azure Resource Graph (service de requête sur l'ensemble des ressources Azure dans tous les abonnements via un langage KQL), et GCP Cloud Asset Inventory (inventaire en temps réel et historique de toutes les ressources GCP d'une organisation). Ces services permettent de répondre instantanément à des questions comme 'Quelles instances EC2 n'ont pas de chiffrement EBS ?' ou 'Quels buckets S3 sont publics ?'. Les outils tiers de Cloud Asset Management étendent la couverture multi-cloud et ajoutent des capacités d'analyse de risque contextualisée. Wiz et Orca Security construisent un graph de toutes les ressources cloud (multi-cloud) avec les relations entre elles et les chemins d'attaque potentiels. ServiceNow Discovery pour le cloud, Axonius, et Qualys CSAM (Cloud Security Asset Management) maintiennent un CMDB cloud enrichi avec les données de vulnérabilité et de compliance. La découverte des shadow IT cloud est un défi spécifique au Cloud Asset Management : des équipes peuvent créer des comptes cloud non officiels (outside the perimeter) contenant des ressources non-gouvernées et non-sécurisées. La détection du shadow IT cloud passe par la surveillance des emails professionnels utilisés pour créer des comptes cloud (cloud provider APIs fournissant cette information via support tickets ou contrôle d'Organization), l'analyse du DNS de l'entreprise (sous-domaines pointant vers des providers cloud non officiels), et les outils de CASP (Cloud Account Security Posture) détectant les comptes non managés. L'automatisation du Cloud Asset Management via Infrastructure as Code (IaC) contribue à réduire le shadow IT en fournissant aux équipes des modules IaC pré-approuvés facilitant le provisionnement via les canaux officiels plutôt que via la console.